Sintesi Tecnica: Ripensare gli Attacchi di Falsificazione sui Watermark Semantici in Ambienti Black-Box

1. Definizione del Problema

La proliferazione di contenuti generati dall'IA (AIGC) ha reso necessari meccanismi robusti per l'attribuzione della fonte e la verifica dell'affidabilità. I watermark semantici, che incorporano informazioni nel rumore latente iniziale dei modelli di diffusione, sono emersi come una soluzione promettente grazie alla loro robustezza contro le comuni trasformazioni delle immagini. Tuttavia, studi recenti hanno dimostrato che questi sistemi sono vulnerabili ad attacchi di falsificazione black-box. In tali attacchi, un avversario con solo accesso black-box al modello di un fornitore di servizi (SP) può utilizzare un modello di diffusione proxy per invertire un'immagine watermarkata, recuperare una rappresentazione latente stimata e rigenerare una nuova immagine che preservi il watermark dello SP pur falsificando la provenienza del contenuto.

La letteratura esistente si basa principalmente su prove empiriche per dimostrare questi attacchi, mancando di una rigorosa comprensione teorica delle condizioni in cui la falsificazione ha successo o fallisce. Di conseguenza, rimane poco chiaro quali limiti di sicurezza fondamentali possiedano i sistemi di watermarking semantico nella pratica o come progettare difese che si generalizzino oltre specifiche implementazioni di attacco.

2. Metodologia e Quadro Teorico

Prospettiva Rate-Distortion

Gli autori riformulano il problema della falsificazione black-box attraverso la lente della teoria rate-distortion nello spazio latente. Modellano il compito dell'avversario come un problema di compressione con perdita in cui il modello proxy agisce come un decoder che tenta di approssimare un target latente watermarkato.

• Pavimento di Distorsione Irriducibile: Gli autori dimostrano che un disallineamento tra il modello target ($\Theta$) e il modello proxy dell'avversario ($\Theta_A$) induce una perdita di informazione irriducibile ($D_{irr}$). Questa perdita crea un limite inferiore sulla distorsione ottenibile, il che significa che anche con risorse computazionali infinite, un avversario black-box non può raggiungere una distorsione di inversione arbitrariamente piccola se i modelli differiscono.
• Penalità di Tasso Effettiva: Il disallineamento del modello impone anche una penalità di tasso effettiva ($I_{pen}$), riducendo il tasso di informazione utilizzabile dall'avversario e rallentando il decadimento della distorsione all'aumentare del tasso di informazione.

Caratterizzazione Geometrica della Distorsione

Andando oltre le assunzioni di rumore stocastico, il documento caratterizza la distorsione introdotta dai modelli proxy come deviazioni geometriche strutturate sul manifold latente intrinseco. Queste deviazioni si manifestano in due forme specifiche:

1. Deriva Globale (Direzionale): Sulla ipersfera dello spazio latente, le perturbazioni di falsificazione causano uno spostamento angolare sistematico. Questo viene quantificato tramite la Distorsione Angolare Sferica (SAD), misurata tramite similitudine del coseno. Teoricamente, l'orientamento di un latente falsificato dovrebbe deviare significativamente dal latente watermarkato originale, mentre un latente correttamente recuperato rimane ben allineato.
2. Deformazione Locale (Strutturale): Gli attacchi di falsificazione interrompono l'integrità strutturale locale del manifold latente. Gli autori mappano le statistiche dei token locali sul manifold delle matrici Simmetriche Positive Definite (SPD) e misurano la deviazione utilizzando la Metrica Riemanniana Affine-Invariante (AIRM). Ciò produce una metrica chiamata Incoerenza Geometrica LGI (Local SPD Geometric Inconsistency), che cattura deformazioni non congruenti nella vicinanza locale dei token che sono assenti nei campioni genuini watermarkati.

Schema di Rilevamento

Sfruttando queste intuizioni geometriche, gli autori propongono un metodo di rilevamento agnostico rispetto allo schema. Questo metodo opera come un passaggio di pre-verifica, analizzando il rumore latente recuperato ($\hat{z}_T$) prima di tentare l'estrazione del watermark. Valutando lo spazio geometrico congiunto della deriva globale (G-Cos) e della deformazione locale (L-SPD), il rilevatore può distinguere i campioni falsificati da quelli genuini watermarkati senza modificare gli schemi di watermarking esistenti.

3. Contributi Chiave

• Formalizzazione Teorica: Il documento è il primo a formalizzare gli attacchi di falsificazione black-box all'interno di un framework rate-distortion, identificando un pavimento di distorsione irriducibile che limita fondamentalmente la capacità di un avversario quando utilizza un modello proxy disallineato.
• Caratterizzazione Geometrica: Caratterizza la distorsione indotta dalla falsificazione non come rumore casuale, ma come deviazioni geometriche strutturate (deriva globale e deformazione locale) sul manifold latente.
• Rilevamento Robusto: Gli autori propongono un metodo di rilevamento basato su queste scoperte geometriche. Valutazioni estese dimostrano la sua efficacia in diversi scenari black-box, inclusi attacchi basati su guidance e ottimizzazione, mantenendo la robustezza contro comuni distorsioni d'immagine.

4. Risultati Sperimentali

Gli autori hanno valutato il loro metodo contro sei schemi di watermarking semantico allo stato dell'arte (Tree-Ring, RingID, HSTR, HSQR, Gaussian Shading e TAG) su cinque modelli target (SD2.1, SDXL, PixArt-$\Sigma$, FLUX.1, SD3) utilizzando SD2.1 e SD3 come proxy.

• Successo della Falsificazione: Gli esperimenti hanno confermato che gli attacchi di falsificazione sono altamente efficaci quando il target e il proxy sono identici (ad es., SD2.1 $\to$ SD2.1), raggiungendo tassi di Veri Positivi (TPR) quasi perfetti per la ritenzione del watermark. Tuttavia, l'efficacia dell'attacco diminuisce significativamente negli scenari cross-model (ad es., target SD3 con proxy SD2.1), in linea con il pavimento di distorsione teorico.
• Prestazioni di Rilevamento: Le metriche geometriche proposte (G-Cos e L-SPD) hanno raggiunto valori di Area Under the Curve (AUC) quasi perfetti (spesso superiori a 0,99) negli scenari cross-model. Anche nell'ambiente critico del modello identico (dove il pavimento di distorsione teorico è minimizzato), il metodo mantiene forti prestazioni di rilevamento (ad es., AUC > 0,95 per G-Cos).
• Robustezza: Il metodo di rilevamento mantiene un'alta consistenza sotto varie distorsioni di post-processing (ad es., compressione JPEG, rumore, ritaglio), sebbene le prestazioni degradino leggermente sotto rumore stocastico e degradazioni del segnale non lineari che corrompono la coerenza strutturale del latente.
• Confronto: Il metodo ha superato o eguagliato metriche alternative e rimane efficace anche contro schemi avanzati come i watermark PRC, che si affidano alla pseudo-casualità per resistere alla falsificazione.

5. Significato e Rivendicazioni

Il documento sostiene di offrire una nuova prospettiva sulla sicurezza dei sistemi di watermarking semantico. Identificando che il disallineamento tra il modello proxy e quello target è la fonte fondamentale di vulnerabilità per gli avversari (e la fonte di segnale rilevabile per i difensori), gli autori forniscono una base rigorosa per il rilevamento della falsificazione.

• Difesa Ortogonale: Il metodo proposto funge da difesa ortogonale che completa gli schemi di watermarking esistenti. Non richiede il riaddestramento del modello generativo o l'alterazione dell'algoritmo di watermarking.
• Utilità Pratica: Il framework di rilevamento opera esclusivamente sul rumore latente, aderendo ai principi di zero-storage inerenti al watermarking, rendendolo leggero e compatibile con implementazioni su larga scala.
• Confini di Sicurezza: Il lavoro chiarisce che, sebbene gli scenari con modello identico rappresentino un confine di sicurezza in cui il disallineamento architettonico è minimizzato, gli inevitabili errori interni accumulati (dovuti all'asimmetria tra generazione forward e inversione backward) inducono comunque discrepanze latenti misurabili, permettendo un rilevamento robusto anche in questi casi estremi.

Gli autori concludono che le loro scoperte evidenziano i limiti intrinseci degli attacchi di falsificazione black-box e suggeriscono che i futuri design di watermarking semantico robusti debbano tenere conto di queste proprietà geometriche per migliorare la sicurezza.